درمورد OEM و Supply chain که در جلسات CISSP صحبت شد
در ارزیابی Technology Supply Chain Risk، دانستن کشور سازنده محصول تنها نقطه شروع است، نه پایان تحلیل ریسک. یک تجهیز ممکن است با برند یک شرکت معتبر عرضه شود، اما سخت‌افزار آن توسط OEM دیگری تولید شده، Firmware آن توسط پیمانکار ثالث توسعه یافته یا برخی ماژول‌های ارتباطی آن از زنجیره‌ای کاملاً متفاوت تأمین شده باشند.
بنابراین سازمان پیش از ورود تجهیزات حساس به زیرساخت باید بپرسد: OEM واقعی چه کسی است؟ مالک و توسعه‌دهنده Firmware کیست؟ Firmware چگونه Sign و Update می‌شود؟ آیا Secure Boot فعال است؟ چه ماژول‌های Wi-Fi، Bluetooth، Cellular یا Management Interface در تجهیز وجود دارد؟
حتی مهم‌تر، باید بررسی شود آیا دستگاه می‌تواند خارج از مسیرهای ارتباطی تعریف‌شده در معماری سازمان، یک Out-of-Band Communication Channel ایجاد کند.
اصل مهم این است که Vendor Trust جایگزین Technical Verification نیست. امنیت زنجیره تأمین زمانی واقعی می‌شود که منشأ، Firmware، اجزا، مسیرهای ارتباطی و مکانیزم‌های به‌روزرسانی محصول مستقل از ادعاهای Vendor بررسی شوند.
https://news.risky.biz/risky-bulletin-slovakia-finds-russian-backdoor-in-traffic-speed-cameras/
در ارزیابی Technology Supply Chain Risk، دانستن کشور سازنده محصول تنها نقطه شروع است، نه پایان تحلیل ریسک. یک تجهیز ممکن است با برند یک شرکت معتبر عرضه شود، اما سخت‌افزار آن توسط OEM دیگری تولید شده، Firmware آن توسط پیمانکار ثالث توسعه یافته یا برخی ماژول‌های ارتباطی آن از زنجیره‌ای کاملاً متفاوت تأمین شده باشند.
بنابراین سازمان پیش از ورود تجهیزات حساس به زیرساخت باید بپرسد: OEM واقعی چه کسی است؟ مالک و توسعه‌دهنده Firmware کیست؟ Firmware چگونه Sign و Update می‌شود؟ آیا Secure Boot فعال است؟ چه ماژول‌های Wi-Fi، Bluetooth، Cellular یا Management Interface در تجهیز وجود دارد؟
حتی مهم‌تر، باید بررسی شود آیا دستگاه می‌تواند خارج از مسیرهای ارتباطی تعریف‌شده در معماری سازمان، یک Out-of-Band Communication Channel ایجاد کند.
اصل مهم این است که Vendor Trust جایگزین Technical Verification نیست. امنیت زنجیره تأمین زمانی واقعی می‌شود که منشأ، Firmware، اجزا، مسیرهای ارتباطی و مکانیزم‌های به‌روزرسانی محصول مستقل از ادعاهای Vendor بررسی شوند.
https://news.risky.biz/risky-bulletin-slovakia-finds-russian-backdoor-in-traffic-speed-cameras/
Comments
Be the first to add a comment
Log in to comment